El Centro Nacional de Ciberseguridad (NCSC) del Reino Unido ha explicado por qué la inteligencia artificial podría adoptarse de forma distinta por los defensores cibernéticos que por los atacantes, y sostiene que el riesgo organizativo y la responsabilidad siguen siendo importantes limitaciones para las operaciones de seguridad autónomas.
En una entrada de blog, Dave Chismon, del NCSC, afirmó que la actividad cibernética ofensiva suele implicar retos técnicos con métricas de éxito relativamente claras, como explotar una vulnerabilidad o eludir la detección. Los defensores, en cambio, deben considerar el posible impacto operativo de cualquier medida que adopten, incluido si un parche, un cambio en el cortafuegos o un análisis del sistema podrían interrumpir servicios empresariales esenciales.
Esta distinción implica que las organizaciones no pueden simplemente desplegar herramientas de IA agéntica para realizar cambios defensivos sin supervisión. Los equipos de seguridad operan dentro de presupuestos, procesos de gestión de cambios, requisitos legales y prioridades empresariales contrapuestas, según la publicación. Una respuesta automatizada que interrumpa servicios accidentalmente puede ser considerada por la dirección de la organización tan grave como un ataque externo disruptivo.
La automatización requiere límites definidos
El NCSC señaló que la IA aún puede aportar un valor considerable a la ciberdefensa cuando se utiliza dentro de limitaciones cuidadosamente establecidas. Destacó actividades de carácter técnico, como el descubrimiento de vulnerabilidades, las pruebas de penetración y la supervisión de seguridad, como ámbitos en los que la automatización puede ayudar a los defensores.
Sin embargo, estas capacidades suelen requerir una preparación considerable antes de convertirse en prácticas habituales. Por ejemplo, las organizaciones pueden necesitar establecer la confianza de que los análisis de vulnerabilidades no afectarán a los sistemas de producción, o acordar políticas y mecanismos de intercambio de datos antes de crear un centro de operaciones de seguridad.
Una vez implantados los procesos de detección, los hallazgos suelen remitirse a las personas responsables de la corrección, como desarrolladores de software, propietarios de sistemas y equipos de respuesta a incidentes. Este enfoque refleja un modelo más amplio en el que la tecnología identifica posibles problemas, mientras que los humanos conservan la responsabilidad sobre las decisiones con consecuencias significativas.
- Las tecnologías de detección deben diseñarse para evitar perjudicar las operaciones empresariales.
- Las acciones automatizadas deben tener un alcance limitado y bien comprendido.
- Los equipos humanos deben seguir siendo responsables de las decisiones de corrección y respuesta de mayor impacto.
La publicación hizo referencia a una investigación sobre ciberdefensa autónoma encargada por el NCSC y realizada por el Centro de Tecnología Emergente y Seguridad. La investigación concluyó que las organizaciones presentan distintos niveles de confianza respecto a la actividad de seguridad impulsada por IA. El análisis del NCSC sugiere que el éxito de la defensa agéntica dependerá menos de igualar la autonomía de los atacantes y más de desplegar automatización allí donde su autoridad, sus riesgos y sus resultados esperados estén claramente definidos.